راه اندازی OSPF در فایروال FortiGate
راه اندازی OSPF در فایروال FortiGate، در این مقاله قصد داریم پروتکل مسیر یابی OSPF و نحوه پیاده سازی آن در فایروال FortiGate را مورد بررسی قرار دهیم.
راه اندازی OSPF در فایروال FortiGate
فهرست مطالب
کاربرد پروتکل مسیریابی در فایروال FortiGate
در فایروال FortiGate علاوه بر این که امکان ایجاد Static Route وجود دارد می توانیم از پروتکل های مسیریابی پویا نظیر RIP، OSPF و BGP استفاده نماییم. در سناریو هایی که شبکه با وسعت بالا در دسترس است و چندین شبکه با یکدیگر در ارتباط خواهند بود استفاده از مسیریابی Static پاسخگوی نیاز نخواهد بود و در چنین شرایط بهترین راهکار استفاده از پروتکل های مسیریابی پویا می باشد. بنابراین در شبکه هایی با این مقیاس نیاز است تا فایروال مجموعه نیز توانایی برقراری ارتباط با پروتکل های مسیریابی پویا را داشته باشد.
در فایروال FortiGate این امکان وجود دارد تا با استفاده از پروتکل های مسیریابی پویا از جمله RIP، OSPF و BGP بتوان علاوه بر ایجاد امنیت، ارتباط در سطح شبکه را فراهم نمود.
تفاوت مسیریابی Dynamic و Static
در محیط های سازمانی با مقیاس بالا، استفاده از مسیریابی Static انتخابی بهینه محسوب نمی گردد، چرا که می بایست تمام مسیر ها به صورت دستی ایجاد گردد. در چنین سناریو هایی غالبا از پروتکل های مسیریابی Dynamic استفاده خواهیم نمود که این پروتکل ها به صورت پویا مسیرها را ایجاد و بسته ها را در سطح شبکه توزیع خواهند نمود. در پروتکل های مسیریابی Dynamic روتر ها بر سر بهترین مسیر جهت رسیدن به مقصد ها با یکدیگر مذاکره می نمایند و با توجه به رفتار هر پروتکل مسیریابی، بهترین مسیر ها انتخاب و در جدول مسیریابی (Routing table) قرار خواهد گرفت. برخی از پروتکل های مسیریابی Dynamic (پویا) Distance Vector می باشند که در عمل بهترین گزینه نمی باشند چرا که بر اساس فاصله (تعداد Hop) بهترین مسیر را انتخاب می نمایند. به عنوان یکی از پروتکل های مسیر یابی Distance Vector می توان RIP را مثال زد. از RIP نمی توان به عنوان یک پروتکل مسیریابی هوشمند نام برد. به این دلیل که در محاسبه بهترین مسیر اولویت هایی مثل Cost هر لینک را در نظر نگرفته و صرفا تعداد Hop را معیار محاسبات خود در نظر خواهد گرفت و لینک های Serial و Gig تفاوتی در محاسبات بهترین مسیر در این پروتکل مسیریابی نخواهد داشت. اما شرایط در پروتکل های مسیریابی Link State متفاوت خواهد بود. به عنوان یکی از پروتکل های اصلی Link State می توان از OSPF نام برد. در پروتکل های مسیریابی Link State بهترین مسیر با توجه به اطلاعات و معیار های دیگری محاسبه خواهد شد.
پروتکل مسیر یابی OSPF
OSPF مخفف عبارت (Open Shortest Path First) می باشد که یک پروتکل مسیریابی Link State محسوب می گردد. در OSPF ما دستورات مربوطه را روی تمامی روتر ها اعمال می نماییم تا OSPF بر روی آن ها اجرا گردد. در این مرحله روتر ها شروع به مبادله اطلاعات با یکدیگر خواهند نمود که این اطلاعات توسط Link State Advertisement (LSA) ها بین روتر ها تبادل خواهند شد. هر روتر LSA های خود را ایجاد و در سطح شبکه ارسال می نماید و اطلاعاتی نظیر اینکه به صورت مستقیم به چه شبکه هایی متصل هستند و Cost جهت دسترسی به شبکه ها مختلف چقدر است را تحت LSA ایجاد می نماید. هر روتر با در اختیار داشتن کلیه این داده ها جهت تصمیم گیری برای کوتاه ترین مسیر (Shortest Path First) اقدام می نماید.
در OSPF می توان به صورت پیش فرض می بایست یک Area با عنوان Area 0 وجود داشته باشد که به عنوان Backbone Area نیز از آن یاد می شود. چنانچه قصد داشته باشیم از چندین Area در شبکه سازمانی خود استفاده نماییم باید در نظر داشته باشیم که تمامی Area ها می بایست به صورت مستقیم به Area 0 ارتباط داشته باشند. رعایت این نکته در طراحی شبکه الزامی می باشد. اگرچه راهکار هایی جهت سناریو هایی که ارتباط مستقیم بین یک Area با Backbone Area وجود ندارد، در دسترس است اما همواره پیشنهاد می شود که از استاندارد ها پیروی نماییم.
در صورت نیاز می توانید جهت آشنایی بیشتر با پروتکل مسیریابی OSPF و نحوه پیکربندی آن در روتر های سیسکو مقاله (راه اندازی OSPF در سیسکو) مطالعه نمایید.
پیاده سازی
جهت پیاده سازی پروتکل OSPF در فایروال FortiGate توپولوژی زیر را در نظر می گیریم.
در این سناریو قصد داریم سیستم های موجود در شبکه Local امکان برقرای ارتباط با سرور 10.1.1.100 که در شبکه دیگری قرار دارند را داشته باشند. همچنین ارتباطات بین روتر R1، R2 و فایروال فورتی گیت می بایست از طریق پروتکل مسیریابی OSPF و Area 0 انجام گیرد. در این سناریو قصد داریم تنظیمات مربوط به راه اندازی OSPF در فایروال FortiGate را انجام دهیم. به همین منظور در منوی فورتی گیت گزینه Router را انتخاب و از زیر منوی Dynamic گزینه OSPF را انتخاب می نماییم. در پنجره باز شده ابتدا باید Router ID را مشخص کنیم. در این سناریو برای Router ID مقدار 3.3.3.3 را انتخاب می کنیم و برای اعمال گزینه Apply را انتخاب می نماییم.
در مرحله بعدی می بایست Area مورد نظر ایجاد شود بنابراین در قسمت Area بر روی Create New کلیک نموده و در پنجره باز شده به Area شماره مربوطه را اعمال می نماییم. در این سناریو تنها یک Backbone Area که همان Area 0 می باشد وجود دارد بنابراین 0 را در قسمت Area وارد می کنیم. چنانچه از Area های NSSA یا STUB استفاده می کنیم می بایست در قسمت Type آن را مشخص کنیم. همچنین اگر از مکانیزم های احراز هویت برای Area در OSPF استفاده می شود در قسمت Authentication می بایست نوع آن را در نظر بگیریم.
در قسمت Network باید شبکه هایی که قصد داریم در سطح OSPF منتشر (Advertise) کنیم را وارد نماییم به همین منظور در قسمت Networks گزینه Create New را انتخاب نموده و در پنجره باز شده شبکه و Area مرتبط به آن را مشخص می نماییم.
در این سناریو تنها یک اینترفیس شبکه داخلی جهت Advertise شدن در OSPF در دسترس می باشد اما چنانچه اینترفیس های بیشتری در فایروال FortiGate وجود دارد که قصد انتشار آن ها را داریم می بایست مطابق روش فوق آن ها را نیز اضافه نماییم.
چنانچه قصد داشته باشیم تنظیمات OSPF را مبتنی بر اینترفیس انجام دهیم یا قصد داشته باشیم Hello interval یا Dead interval را تغییر دهیم تمامی این تنظیمات در قسمت Interfaces قابل انجام می باشد.
پس از انجام تنظیمات فوق همسایگی بین فایروال FortiGate و روتر R1 در OSPF برقرار شده است و در منوی Router چنانچه از زیر منوی Monitor گزینه Routing Monitor را انتخاب کنیم در واقع جدول مسیریابی (Routing Table) فایروال فورتی گیت را مشاهده خواهیم نمود که برقراری همسایگی را تایید خواهد نمود.
اکنون چنانچه از کامپوتری ویندوزی در شبکه 172.16.1.0 به سمت سرور با آدرس 10.1.1.100 یک دستور ping را اجرا کنیم صحت عملیات انجام شده تایید خواهد شد.
نظرات کاربران